获取SharePoint非根站点Access Token后API请求失败求助

你在子站点的resource参数处理上踩了个常见的坑——SharePoint对站点级resource的格式有明确要求，不是简单替换路径中的斜杠就行。让我一步步帮你理清问题：

问题根源：错误的Resource参数编码 #

你遇到的AudienceUriValidationFailedException报错，核心原因是生成的令牌受众（audience）不符合SharePoint的预期。当你把路径中的/替换为%2f时，导致令牌的aud字段变成了带有%2f的字符串，而SharePoint期望的是包含实际斜杠的站点URL或SPN格式。

正确的Resource参数格式 #

针对子站点{{tenant removed}}/sites/testsite，你需要使用以下两种正确格式之一：

格式1：子站点绝对URL #

直接使用子站点的完整URL作为resource：

https://{{tenant removed}}.sharepoint.com/sites/testsite

格式2：SPN格式（适用于特定认证场景） #

使用SharePoint的服务主体名称（SPN）格式，保留路径中的斜杠：

00000003-0000-0ff1-ce00-000000000000/{{tenant removed}}.sharepoint.com/sites/testsite@{{realm removed}}

关键提醒：不要修改resource内容里的斜杠！只有当你把resource作为HTTP请求的query参数传递时，才需要对整个字符串做标准URI编码（比如把https://...编码成https%3A%2F%2F...），但resource本身的内容要保持原始的斜杠。

修复步骤 #

1. 重新获取正确的Access Token #

以客户端凭证流（client credentials flow）为例，你的请求应该类似这样：

POST https://login.microsoftonline.com/{{realm removed}}/oauth2/token
Content-Type: application/x-www-form-urlencoded

grant_type=client_credentials
&client_id=你的客户端ID
&client_secret=你的客户端密钥
&resource=https%3A%2F%2F{{tenant removed}}.sharepoint.com%2Fsites%2Ftestsite

这里的resource参数是对https://{{tenant removed}}.sharepoint.com/sites/testsite做了URI编码，而非修改内容里的斜杠。

2. 验证令牌的受众 #

拿到令牌后，用jwt.ms解码查看aud字段，应该显示为https://{{tenant removed}}.sharepoint.com/sites/testsite（或对应的SPN格式），不存在%2f。

3. 调用子站点REST API #

用正确的令牌调用API，示例请求：

GET https://{{tenant removed}}.sharepoint.com/sites/testsite/_api/web
Authorization: Bearer 你的Access Token
Accept: application/json;odata=verbose

额外检查点 #

• 确认你的应用已经被授予该子站点的权限：可以在SharePoint管理中心的“高级权限管理”中，给应用分配针对/sites/testsite的特定权限（比如Sites.Read.All或更细粒度的权限）。
• 确保租户realm（租户ID）正确：可以从根站点的令牌中获取，或者通过https://login.microsoftonline.com/{{tenant removed}}/.well-known/openid-configuration查询。

内容的提问来源于stack exchange，提问作者Josh Sharkey